Você ou sua empresa usam Facebook, Instagram, Messenger, Threads ou outros produtos da Meta? Seu negócio utiliza IA generativa e realiza tratamento de dados pessoais? Então não deixe de ler este artigo, seja para aprender sobre seus direitos como titular de dados pessoais, seja para proteger sua empresa de riscos de fiscalização e condenação pela Autoridade Nacional de Proteção de Dados (ANPD).
Na primeira semana de julho de 2024, a comunidade de proteção de dados pessoais ficou bem agitada com a decisão da ANPD que suspendeu cautelarmente a Política de Privacidade da Meta em sua mais recente versão (em vigor a partir de 26/6/2024). Nos termos da Política, a Meta passou a coletar dados pessoais compartilhados por cidadãos brasileiros nas plataformas da Meta para treinar e aperfeiçoar seus sistemas de inteligência artificial generativa (IA Generativa).
O QUE DIZ A POLÍTICA DE PRIVACIDADE DA META?
A coleta de dados pela Meta para treinamento de IA Generativa poderia incluir, por exemplo, informações em fotografias, áudio e imagens compartilhadas nos serviços da empresa, podendo inclusive figurar titulares de dados não usuários das plataformas da Meta. Veja alguns trechos relevantes da Política de Privacidade da Meta sobre o uso de dados pessoais, incluindo de não usuários de seus produtos:
Usamos informações que estão publicamente disponíveis online e informações licenciadas. Também usamos informações compartilhadas nos produtos e nos serviços da Meta. Essas informações podem abranger publicações ou fotos e legendas. Não usamos o conteúdo das suas mensagens privadas com amigos e familiares para treinar nossas IA.
Quando coletamos informações públicas da internet ou licenciamos dados de outros provedores para treinar os modelos, isso pode incluir informações pessoais. Por exemplo, se coletarmos uma publicação aberta de blog, ela pode incluir o nome e as informações de contato do autor.
Mesmo que você não use nossos produtos e serviços nem tenha uma conta, ainda podemos processar informações sobre você para desenvolver e melhorar a IA na Meta. Por exemplo, isso pode acontecer se você aparecer em qualquer lugar de uma imagem compartilhada nos nossos produtos ou serviços por alguém que os usa ou se alguém mencionar informações sobre você em publicações ou legendas que compartilhar nos nossos produtos e serviços.
O QUE É INTELIGÊNCIA ARTIFICIAL GENERATIVA?
A inteligência artificial generativa refere-se a sistemas de IA projetados para criar conteúdos, como imagens, textos, músicas, vídeos, dentre outros, de maneira autônoma. Esses sistemas são capazes de aprender padrões e características a partir de grandes conjuntos de dados e, posteriormente, gerar novos conteúdos que se assemelham aos dados de entrada.
Sistemas de IA generativa são utilizados em uma ampla gama de aplicações, como na criação de arte digital, na geração de textos criativos, na composição musical automática, na produção de vídeos e até mesmo na criação de novos medicamentos através da simulação de moléculas.
Em resumo, a IA generativa capacita máquinas a aprender e criar conteúdos originais e criativos, expandindo as possibilidades de automação e inovação em diversos campos.
QUAL O PROBLEMA DE COLETAR DADOS PESSOAIS PARA TREINAR IA GENERATIVA?
Qualquer operação que caracterize “tratamento de dados pessoais” exige avaliação de conformidade com a LGPD e com o direito fundamental à proteção de dados pessoais (LGPD, arts. 1º e 5º, X; CF/1988, art. 5º, LXXIX). Portanto, o uso de dados pessoais para treinar IA generativa precisa atentar às exigências legais e regulamentares relativas à proteção de dados pessoais.
No caso da Política da Meta, a avaliação pela ANPD identificou quatro potenciais irregularidades no tratamento desses dados para treinar IA generativa:
- Falta de uma base legal adequada para realizar tratamento
- Tratamento de dados de crianças e adolescentes sem as devidas salvaguardas, violando seu melhor interesse
- Restrição ao exercício dos direitos os titulares
- Falta de transparência na divulgação das novas informações aos titulares
Hipótese legal: A falta de uma base legal adequada para o tratamento de dados pessoais ou a inadequação dos dados para alcançar os objetivos pretendidos tornam a prática ilegal segundo as normas de proteção de dados pessoais.
A base legal apontada pela Meta foi o legítimo interesse (LGPD, art. 7º, IX). Contudo, ela foi considerada inapropriada pelo fato de haver tratamento de dados pessoais sensíveis, de não observar legítimas expectativas dos titulares e de não atender aos princípios da finalidade e da necessidade (LGPD, arts. 10, II e 6º, I e III).
Por exemplo, um usuário de Facebook que busca manter relacionamento com amigos, comunidades etc. espera que tudo que ele compartilhou ao longo da vida seja usado para treinar IA generativa? Provavelmente não, principalmente para os usuários mais antigos que sequer tinham ouvido falar em IA generativa.
Transparência: A Política da Meta, segundo a ANPD, não fornece informações suficientes e necessárias aos titulares, o que dificulta a compreensão das possíveis consequências do tratamento de seus dados pessoais para o desenvolvimento de modelos de IA generativa.
A transparência no tratamento de dados é exigida para garantir aos titulares acesso a informações claras, precisas e facilmente acessíveis sobre a realização do tratamento (LGPD, art. 6º, VI). No caso da Meta, a alteração da política de privacidade foi realizada, no Brasil, sem transparência aos titulares, enquanto na Europa os usuários foram previamente informados por e-mail e por notificações em aplicativos.
Dados pessoais de crianças e adolescentes: A Política de Privacidade da Meta não se refere a tratamento de dados de crianças e adolescentes, sendo que estão sujeitos a serem também coletados e usados para treinar IA generativa. Como esses titulares são uma categoria especialmente protegida pela LGPD, dada sua vulnerabilidade, o tratamento de seus dados precisa observar as devidas salvaguardas e medidas que mitiguem riscos, sempre no melhor interesse da criança ou do adolescente (LGPD, art. 14).
Exige-se maior cautela do controlador para esse tratamento, o que a ANPD entende que faltou neste caso, ao comparar com o que ocorreu na Europa. Lá, a Meta anunciou que não faria tratamento de dados de crianças e adolescentes, mas aqui não houve comunicação adequada.
Exercício de direitos pelos titulares: A opção de opt-out oferecida aos usuários brasileiros de produtos da Meta não é apresentada de maneira clara, dificultando sua oposição ao tratamento de seus dados pessoais, em desacordo com o art. 18 da LGPD. Adicionalmente, o caminho para exercer essa opção é complexo, o que foi amplamente comentado na mídia e nas redes sociais. No caso de usuários do Instagram, por exemplo, é preciso realizar oito diferentes ações para informar à empresa sobre sua objeção ao uso de seus dados e para exercer os direitos previstos na LGPD.
DECISÃO: DANO GRAVE E IRREPARÁVEL OU DE DIFÍCIL REPARAÇÃO
A ANPD entendeu que a ocorrência das quatro irregularidades apontadas anteriormente apresenta “risco iminente de gerar danos graves e irreparáveis ou de difícil reparação para os titulares de dados pessoais, inclusive crianças e adolescentes”. (Voto Nº 11/2024/DIR-MW/CD). A conduta da Meta foi enquadrada como infração grave e que alcança grau de dano elevado.
A Meta menciona de maneira genérica os benefícios futuros da IA generativa em seu Canal de Privacidade, sem detalhar adequadamente como os dados pessoais são utilizados para esse fim. Isso resulta em uma lacuna significativa de informação, especialmente para terceiros que não são usuários das plataformas, aumentando a disparidade de informações entre os titulares dos dados e a empresa. Além disso, os produtos da Meta têm um número muito elevado de usuários, o que contribui para aumentar o risco de danos.
Nesse contexto, A ANPD determinou suspensão: (i) da vigência da nova política de privacidade da Meta quanto ao uso de dados pessoais para treinar sistemas de IA generativa; (ii) do tratamento de dados pessoas pela Meta para essa finalidade, sendo essa medida essencial para evitar danos graves e potencialmente irreparáveis aos titulares cujos dados pessoais foram incluídos nos modelos de IA generativa da Meta.
A ANPD concedeu prazo de cinco dias para a Meta demonstrar cumprimento da medida preventiva, sob pena de multa diária de R$ 50.000,00 por dia de descumprimento. A Meta precisará apresentar documentação que ateste adequação de sua política de privacidade, excluindo o trecho sobre tratamento de dados para treinar IA generativa, além de apresentar declaração atestando a suspensão do tratamento em referência.
COMO SE PRECAVER?
Além de avaliar periodicamente se seu negócio está alinhado com as regras da LGPD, com os regulamentos da ANPD e com as boas práticas de mercado, é importante levar em consideração as publicações orientativas da ANPD. No caso dessa medida cautelar, a ANPD se baseou em diversos trechos no seu Guia Orientativo sobre Legítimo Interesse, além do Guia Orientativo Cookies e Proteção de Dados Pessoais.
Embora não sejam considerados regulamentos, os Guias têm orientado a atuação fiscalizadora da Autoridade, incluindo no caso aqui analisado, em que a ANPD mencionou que suas orientações gerais são inteiramente aplicáveis. Por exemplo, no caso em que a ANPD detalha até com exemplos práticos e padrões de design modelos de cookie banners, ela espera que as empresas observem essas orientações, que estão alinhadas com a LGPD para o exercício de direitos dos titulares.
PRÓXIMOS PASSOS
Como a medida imposta pela ANPD à Meta é de caráter preventivo em um processo cautelar, para assegurar não ocorrência de danos graves e iminentes de difícil reparação aos titulares de dados afetados, a análise não foi exaurida. Portanto, deverá seguir um processo fiscalizatório para obter esclarecimentos da Meta e monitorar o cumprimento da decisão.
A equipe de TMT – Tecnologia, Mídia e Telecomunicações do Azevedo Sette Advogados acompanha o desenvolvimento do tema e fica à disposição para dúvidas e contribuições.